wbsong111
17d5aafa1f
nemo 의 NGC API 키와, airflow git-sync · gitea · keycloakx 가 공유하던 암호가 평문으로 커밋돼 있었다. airflow 쪽은 같은 값을 base64 로 감싼 것이라 5개 파일을 함께 교체했다. 4개 차트 helm template 렌더 확인. 히스토리와 GitHub PR ref 에는 남으므로 키 로테이션이 별도로 필요하다. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
81 lines
3.0 KiB
YAML
81 lines
3.0 KiB
YAML
image:
|
|
repository: docker.io/paasup/keycloak
|
|
tag: "26.7.1-bci15.7-hardened-20260807"
|
|
|
|
# keycloakx 기본값은 "/auth"(구 WildFly 기반 codecentric/keycloak 호환용). Keycloak
|
|
# 26(Quarkus) 네이티브 기본값은 "/"이며, /auth 를 그대로 두면 OIDC issuer/admin API
|
|
# 경로가 다른 앱들의 가정(경로 접미사 없음)과 어긋난다.
|
|
http:
|
|
relativePath: "/"
|
|
|
|
# 차트 기본값은 command/args 모두 빈 배열이다 — 지정하지 않으면 컨테이너가 인자 없는
|
|
# kc.sh(도움말 출력, exit 0)로 끝나 CrashLoopBackOff가 된다(실측 확인, dip-catalog#1).
|
|
command:
|
|
- "/opt/keycloak/bin/kc.sh"
|
|
- "start"
|
|
|
|
# path 를 exact "/" 로 두면 apisix 에서 루트만 매치되어 Keycloak 의 실제 엔드포인트
|
|
# (/realms/*, /admin/*, /resources/*)가 전부 404 가 난다 — airflow·superset·mlflow·
|
|
# lakekeeper 에서 이미 실측된 문제로 카탈로그 전체가 regex 방식으로 통일돼 있다
|
|
# (.claude/pitfalls.md). ingressClassName 도 반드시 명시한다 — 미지정 시 이 클러스터의
|
|
# apisix 가 인식하지 않아 CLASS: <none> 으로 뜨고 접근 자체가 불가능하다.
|
|
ingress:
|
|
enabled: true
|
|
ingressClassName: apisix
|
|
annotations:
|
|
cert-manager.io/cluster-issuer: "root-ca-issuer"
|
|
k8s.apisix.apache.org/use-regex: "true"
|
|
rules:
|
|
- host: keycloak.example.org
|
|
paths:
|
|
- path: /.*
|
|
pathType: ImplementationSpecific
|
|
tls:
|
|
- hosts:
|
|
- keycloak.example.org
|
|
secretName: keycloak-tls
|
|
|
|
proxy:
|
|
enabled: true
|
|
mode: forwarded
|
|
|
|
resources:
|
|
requests:
|
|
cpu: 100m
|
|
memory: 500Mi
|
|
limits:
|
|
cpu: 2000m
|
|
memory: 1500Mi
|
|
|
|
# 외부 postgresql 사용. vendor/hostname/port/database/username 값을 배포된 DB로 변경.
|
|
# 비밀번호는 password 평문 대신 existingSecret(kubernetes.io/basic-auth 시크릿의
|
|
# password 키, 기본 existingSecretKey)을 쓰는 것을 권장.
|
|
database:
|
|
vendor: postgres
|
|
hostname: keycloak-postgresql
|
|
port: 5432
|
|
database: keycloak
|
|
username: keycloak
|
|
existingSecret: keycloak-db
|
|
existingSecretKey: password
|
|
|
|
# KC_DB_SCHEMA: Keycloak Quarkus 정식 config 옵션(db-schema) — public 이 아닌 전용
|
|
# 스키마를 쓸 때 지정.
|
|
# KC_BOOTSTRAP_ADMIN_USERNAME/PASSWORD: Keycloak 25+ 의 admin 계정 부트스트랩
|
|
# 메커니즘(구버전 KEYCLOAK_ADMIN/KEYCLOAK_ADMIN_PASSWORD 대체). master realm이
|
|
# 완전히 비어있는 최초 부팅에만 동작 — 재설치 시 비밀번호가 갱신되지 않는 것이 정상.
|
|
# KC_HOSTNAME: 반드시 지정할 것. hostname-strict 가 기본 true 라 미지정 시
|
|
# "hostname is not configured; either configure hostname, or set hostname-strict
|
|
# to false" 로 기동이 실패한다(실측 확인).
|
|
extraEnv: |
|
|
- name: KC_HOSTNAME
|
|
value: keycloak.example.org
|
|
- name: KC_DB_SCHEMA
|
|
value: keycloak
|
|
- name: KC_BOOTSTRAP_ADMIN_USERNAME
|
|
value: admin
|
|
- name: KC_BOOTSTRAP_ADMIN_PASSWORD
|
|
value: ChangeMe1234! # 예시 값 — 배포 전 교체한다
|
|
- name: TZ
|
|
value: Asia/Seoul
|